BrainDup et l'IA Act
La conformité comme propriété d'architecture, pas comme surcouche administrative
Depuis le 2 août 2026, la question n'est plus « êtes-vous conforme ? »
Elle est : êtes-vous capable de le prouver ? Le règlement européen sur l'intelligence artificielle ne se satisfait pas de bonnes intentions ni d'engagements contractuels signés par un fournisseur. Il réclame des traces, des journaux, de la documentation, une supervision humaine démontrable. Des preuves matérielles, produites par le système lui-même.
Face à cette exigence, deux stratégies. La première empile une couche de conformité sur un outil cloud étranger : procédures écrites, registres tenus à la main, captures d'écran, promesses contractuelles. C'est coûteux, c'est fragile, et cela laisse intacte une dépendance à un fournisseur que Bruxelles surveille de son côté.
La seconde choisit une architecture où ces obligations ne sont pas une surcouche mais des propriétés du système. Un journal qu'aucun code applicatif ne peut réécrire vaut mieux qu'un classeur de procédures. C'est le parti pris de BrainDup, et c'est vérifiable ligne à ligne.
Article par article, le mécanisme correspondant
Chaque exigence du règlement se traduit, dans BrainDup, par un mécanisme technique précis, pas par une case à cocher dans un tableur.
| Article | Ce qu'exige le règlement | Le mécanisme BrainDup |
|---|---|---|
| Art. 10 : gouvernance des données | Origine documentée et gouvernée des jeux de données | Empreinte cryptographique calculée avant tout traitement ; chaque fragment, vecteur et nœud du graphe porte sa provenance ; doublons refusés ; droits de diffusion fermés par défaut |
| Art. 12 : journalisation | Enregistrement automatique des événements | Sept journaux en insertion seule, verrouillés par des déclencheurs de base de données ; l'audit s'écrit même quand l'opération échoue partiellement |
| Art. 13 : transparence | Information claire sur le fonctionnement du système | Citations assemblées par le code depuis le catalogue, jamais rédigées par le modèle ; refus de répondre hors corpus |
| Art. 14 : contrôle humain | Supervision, intervention, interruption possibles | Arbitrage humain sur les fusions incertaines et les faits contestés ; causalité jamais déduite d'une cooccurrence ; décisions auditées et réversibles |
| Art. 15 : exactitude et robustesse | Niveau approprié d'exactitude, et sa mesure | Jeu de questions de référence rejoué à chaque évolution ; 100 % de citations exactes, ≥ 80 % de réponses correctes, zéro invention ; évaluation déterministe |
| Art. 50 : signalement | Indiquer que l'on s'adresse à une IA | L'interface annonce ce qu'elle est : ni faux conseiller humain, ni ambiguïté entretenue |
| Art. 53 et s. : modèles à usage général | Obligations pesant sur les fournisseurs de modèles | Modèles ouverts exécutés sur votre infrastructure ; absence de dépendance sortante vérifiée automatiquement à chaque modification du code |
| Art. 26 : obligations du déployeur | Usage conforme, supervision, conservation des journaux | Rôles et permissions, journal complet de la vie du corpus, écran de gouvernance, statistiques d'usage et de coût |
Quatre garanties qui ne dépendent pas de la bonne volonté
La provenance est une contrainte
L'empreinte d'un document est calculée avant l'OCR et avant l'extraction. Tout objet dérivé porte l'identifiant de sa source et de son lot d'ingestion. « D'où vient cette information ? » n'appelle pas une enquête : cela appelle une requête.
Des journaux inaltérables
La modification et l'effacement sont interdits au niveau du moteur de base de données, pas par convention de développement. Un système qui n'écrit ses traces que lorsque tout se passe bien ne trace rien d'utile.
La citation fausse est impossible
Le modèle rédige la réponse, jamais la référence. Auteur, numéro, date, page et adresse sont assemblés par le code depuis le catalogue documentaire. Non parce que le modèle serait fiable, mais parce qu'il n'a pas la main.
L'humain arbitre là où la machine doute
Les cas incertains partent en file d'arbitrage plutôt que d'être tranchés automatiquement, et chaque décision reste auditée et réversible. Une supervision dont on ne garde pas la trace n'est pas une supervision : c'est une opinion oubliée.
Le point de bascule : la dépendance au fournisseur de modèle
Les fournisseurs de modèles généralistes sont soumis à leurs propres obligations, supervisées par la Commission européenne. Si votre système repose sur eux, une part de votre conformité dépend d'un tiers que vous ne contrôlez pas, dont les conditions d'usage, les versions et la disponibilité évoluent sans vous.
BrainDup s'exécute intégralement sur votre infrastructure, avec des modèles ouverts. Aucune donnée ne quitte l'entreprise, et ce n'est pas un argument commercial : un contrôle bloquant refuse toute dépendance sortante non déclarée à chaque modification du code. Cela change la nature du problème. Vous ne transférez plus vos documents à un tiers en espérant qu'il reste conforme : il n'y a pas de transfert.
Ces garanties ne sont pas des fonctionnalités ajoutées après coup. Ce sont des invariants d'architecture, des règles que le code ne peut pas violer, vérifiées automatiquement, et sur lesquelles tout le reste est construit.
Ce que BrainDup ne fait pas à votre place
Aucun logiciel ne rend une organisation conforme, et se méfier de qui le promet est une bonne habitude. La conformité s'apprécie par système et par usage, pas par produit.
Selon ce que vous en faites, votre déploiement peut relever du haut risque : vous devrez alors conduire votre analyse de risques, produire votre documentation technique, désigner vos responsables et accomplir les formalités prévues. BrainDup vous donne les preuves techniques ; il ne rédige pas votre dossier et n'engage pas votre responsabilité. La sensibilisation de vos équipes, exigée depuis février 2025, relève également de votre organisation ; c'est l'objet de nos formations.
Un mot sur les sanctions, souvent citées de travers. Le plafond de 35 millions d'euros ou 7 % du chiffre d'affaires mondial vise les pratiques interdites. Le manquement aux obligations des systèmes à haut risque relève d'un autre palier, de l'ordre de 15 millions d'euros ou 3 %. Cela reste considérable, et le raisonnement ne change pas : mieux vaut une architecture qui produit ses preuves qu'un dossier reconstitué après coup.
Parlons de votre situation
Trente minutes pour cartographier vos usages de l'IA, identifier ce qui relève du haut risque et voir quelles preuves votre architecture actuelle sait produire.